91、关键设备的实施与配置指南

关键设备的实施与配置指南

在网络安全领域，设备的正确配置与实施对于保护网络免受各种攻击至关重要。本文将详细介绍基于IOS的防火墙和PIX防火墙的配置与实施，涵盖速率限制、状态包过滤、IP欺骗缓解等多个方面。

速率限制与CAR配置

在速率限制方面，主要关注的超额选项是“丢弃”（drop）和“继续”（continue），其他选项主要用于QoS。CAR（Committed Access Rate）支持在入站和出站接口上配置，每个接口最多可配置100条速率限制语句。当配置多条速率限制语句时，会从顶部开始依次检查。如果数据包不匹配任何速率限制语句，默认情况下将转发该数据包。

假设公司的电子邮件服务器遭受了DoS攻击，攻击者通过大量ICMP数据包使服务器处理器过载。为了解决这个问题，可以使用CAR来限制允许进入网络的ICMP流量。通过分析，确定ICMP流量应限制为平均速率16,000，正常突发8000，超额突发8000。以下是相应的配置示例：

!
!
interface Serial 0/0
 rate-limit input access-group 110 16000 8000 8000 conform-action
   transmit exceed-action drop
!
access-list 110 permit icmp any any
!

基于IOS的防火墙配置

要配置基于IOS的防火墙，首先需要安装IOS防火墙功能集。安装完成后，即可开始配置。基于IOS的防火墙提供了多种缓解技术，包括状态包过滤和基本的第7层过滤、IP欺